Zaloguj się
Deutsch English Español Polski
Niska

Laravel: XSS in Debug Page Information

  • Ujawniono: 29.09.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

When APP_DEBUG=true, attacker-controlled input is passed to a Tippy.js tooltip configured with allowHTML: true, enabling DOM-based XSS during mouse hover.

Patches

#61381

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer laravel/framework < 12.69.0, >= 13.0.0, < 13.30.0 12.69.0, 13.30.0

Odnośniki

Ocena CVSS 3.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-80
Platforma
Composer
Paczka
laravel/framework
Ujawniono
29.09.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jh5r-qr3c-85q8 - CC BY 4.0

Historia podatności: laravel/framework

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (26) w archiwum
Wszystkich wpisów
26
Pierwsza → ostatnia
01.2021 09.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 2
  • Wysoka 11
  • Średnia 12
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Laravel: XSS in Debug Page Information ten wpis
    Niska · 3.1 CVE-2026-102279 < 12.69.0, >= 13.0.0, < 13.30.0 12.69.0, 13.30.0
  2. Laravel Framework: CRLF injection in default email rule
    Wysoka · 8.9 CVE-2026-48019 >= 13.0.0, < 13.10.0, < 12.60.0 13.10.0, 12.60.0
  3. Laravel environment manipulation via query string
    Wysoka · 0.0 CVE-2024-52301 < 6.20.45, >= 7.0.0, < 7.30.7, >= 8.0.0, < 8.83.28, >= 9.0.0, < 9.52.17, >= 10.0.0, < 10.48.23, >= 11.0.0, < 11.31.0 6.20.45, 7.30.7, 8.83.28, 9.52.17, 10.48.23, 11.31.0
  4. laravel framework SQL Injection via limit and offset functions
    Wysoka ghsa-wq8p-mqvg-2p5h >= 6.0.0, < 6.20.26, >= 7.0.0, < 7.30.5, >= 8.0.0, < 8.40.0 6.20.26, 7.30.5, 8.40.0
  5. laravel framework Unexpected database bindings via requests
    Wysoka ghsa-jwvj-pwww-3mj5 >= 6.0.0, < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  6. Laravel RCE vulnerability in "cookie" session driver
    Krytyczna · 9.9 ghsa-qm5c-m76r-2hfr >= 4.1.0, < 6.18.31, >= 7.0.0, < 7.22.4 6.18.31, 7.22.4
  7. Laravel Cookie serialization vulnerability
    Wysoka ghsa-6jvx-8ch9-j2jr >= 5.5.0, < 5.6.30 5.6.30
  8. Laravel Framework Deserialization Vulnerability
    Krytyczna · 9.8 CVE-2019-9081 >= 5.7.0, < 6.20.44 6.20.44
  9. Laravel Framework RCE Vulnerability
    Wysoka · 8.1 Wykorzystywana w atakach CVE-2018-15133 <= 5.5.40, >= 5.6.0, < 5.6.30 5.6.30
  10. OS Command Injection in Laravel Framework
    Wysoka · 8.8 CVE-2020-19316 < 5.8.17 5.8.17
  11. Improper Input Validation in Laravel
    Wysoka · 7.5 CVE-2020-24941 < 6.18.35, >= 7.0.0, < 7.24.0 6.18.35, 7.24.0
  12. SQL Server LIMIT / OFFSET SQL Injection in laravel/framework and illuminate/database
    Wysoka ghsa-4mg9-vhxq-vm7j >= 8.0.0, < 8.40.0, < 6.20.26 8.40.0, 6.20.26
  13. Unexpected database bindings
    Wysoka · 7.2 ghsa-x7p5-p2c9-phvg < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  14. Query Binding Exploitation
    Wysoka · 7.2 CVE-2021-21263 >= 8.0.0, < 8.22.1, >= 6.0.0, < 6.20.11, >= 7.0.0, < 7.30.2 8.22.1, 6.20.11, 7.30.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.